【法眼观察】“最小必要原则”落实了，才能守住“刷脸”安全底线

近日，多位财经博主账号所属的企业被伪造的“人脸识别”授权更换了法人，不法分子继而通过法人权限取得账号控制权，并实施了一系列疑似诈骗举动。对此，记者调查发现“代过人脸识别”已成为一条黑灰产业链，售卖商兜售人脸识别破解技术，其生成的人脸可做出摇头、张嘴、眨眼等动作从而通过人脸测试。一些黑灰产从业者甚至宣称，攻破某些省级政务系统都没问题（据新京报6月17日报道）。
一招“狸猫换太子”，让更换法人信息这类看似精密安全的系统竟然也能被轻易攻破。“刷脸”的安全隐患再次令人震惊。从前些年利用静态照片、动态图片、翻拍翻录、3D面具等进行“物理欺骗”，到如今通过深度伪造等技术进行“数字劫持”，攻击手段正随着技术的发展不断进化。
作为重要隐私信息，人脸信息受民法典和个人信息保护法的严格保护。通过算法生成真人活体脸的图片和视频，并攻破手机系统，结合劫持摄像头或控制人脸链路等方式突破人脸验证、冒用身份实施诈骗的行为，已经涉嫌侵犯公民个人信息罪、非法侵入计算机信息系统罪和诈骗罪。面对这种对公民人身财产安全及社会公共安全的严重威胁，筑牢“护脸”安全屏障刻不容缓。
今年6月1日起施行的《人脸识别技术应用安全管理办法》（下称《办法》）明确，应用人脸识别技术处理人脸信息，应当具有特定的目的和充分的必要性，采取对个人权益影响最小的方式，并实施严格保护措施。“最小必要原则”的确立，为技术应用划定了底线、红线。
假如技术使用者都能恪守“最小必要原则”，切实做到非必要不刷脸，自然能很大程度上避免人脸信息泄露风险。然而，这种理想状态仅靠使用者自律就能达到吗？很难。“刷脸”的便利性、技术带来的丰厚回报，都刺激着使用者的技术扩张冲动。此次事件更暴露出人脸识别系统的防御措施更新速度，似乎难以跟上“破解”手段的升级速度。用技术打败技术，虽然是最直接的办法，但仍然只能处在防不胜防的低位。显然，要想将“最小必要原则”落地落实，事前规制和监管要努力走在技术滥用前面。
一方面，事前规制要发力。《办法》已禁止在宾馆客房、公共浴室、公共更衣室、公共卫生间等公共场所中的私密空间内部安装人脸识别设备。但“刷脸”之所以容易泛化，也是因为技术使用场景范围并不明确，容易随着技术渗透而扩大。因此，对技术使用场景的规定，需要长期更新、优化。如，可以区分绝对禁止场景、严格限制场景、允许但需强化保护场景等，通过分级管控，防止“刷脸”泛化。
另一方面，监管部门要压实个人信息处理者主体责任。根据《办法》，个人信息处理者要做好人脸识别技术应用备案工作，履行个人信息保护影响评估责任。相关主体是否真实、准确、完整地向个人履行了告知义务？事前是否进行了个人信息保护影响评估？这些都是监管部门要反复核查的程序和细节。监管的前瞻性、精准性与有效性提高了，技术使用的每一个环节才能更规范、更透明，“刷脸”的安全底线才能更牢固。
（来源：检察日报·法治新闻版 作者：高梅）